SQL注入天书SQL注入天书_sql天书资源-CSDN下载

共1个文件

htm：1个

SQL

3星 · 超过75%的资源需积分: 50 34 浏览量 2009-04-06 22:09:03 上传评论收藏 7KB RAR 举报

资源推荐

资源详情

资源评论

收起资源包目录

SQL注入天书.rar （1个子文件）

SQL注入天书.htm 18KB

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml" xml:lang="zh-cn"> <head> <title>SQL注入天书 ASP注入漏洞全接触 - 驱动中国</title> <meta name="keywords" content="注入全接触漏洞 SQL SQLServer 方法数据库语句 and "> <meta name="description" content="    　　随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于这个行业的入门门槛不高，程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。"> <meta http-equiv="Content-Type" content="text/html; charset=gb2312" /> <META content="index, follow" name=robots> <link href="/templets/style/news_dede.css" rel="stylesheet" type="text/css" /> <link href="/templets/style/news_article.css" rel="stylesheet" type="text/css" /> <link rel="stylesheet" type="text/css" href="http://www.qudong.com/css/news.css" /> <link href="http://www.qudong.com/include/hq.css" rel="stylesheet" type="text/css" />  <script language="javascript" src="/include/dedeajax2.js"></script> <script language="javascript"> function Digg(divId,aid){ var taget_obj = document.getElementById(divId+''+aid); var myajax = new DedeAjax(taget_obj,false,false,"","",""); myajax.SendGet2("/digg.php?action=digg&aid="+aid); DedeXHTTP = null; } </script> <style> .context{ width:638px; clear:both;} .diggArea{ padding:0px;margin:0px;background-image:url('/https/download.csdn.net/plus/img/diggbg2.gif');width:57px; height:50px;line-height:23px;float:left; } .diggNum{ margin:0px; text-align:center; padding:0px; font-size:14px; font-weight:bold; width:57px; height:23px; margin-top:3px; } .diggLink{ margin:0px; text-align:center; padding:0px; font-size:12px; font-weight:bold; width:55px; height:23px; } .diggLink a{ font-size:12px; font-weight:bold; } </style> </head> <body>  <div id="headers"> <div id="logo"><a href="http://www.qudong.com/" target="_blank"><img src="../../../../../../../../../images/0.gif" alt="驱动中国" width="180" height="45" border="0" /></a></div> <div id="top"><a href="/plus/heightsearch.php">搜索</a>|<a href='#' onClick="javascript:window.external.AddFavorite('http://www.qudong.com','驱动中国');">收藏</a>|<a href="/plus/sitemap.html">地图</a>|<a href="/plus/rssmap.html">订阅</a>|<a href="../../../../../../../../../../../news/photo/">图片</a>|<a href="http://bbs.qudong.com/">论坛</a>|<a href="http://shop.qudong.com/" style="color:red;">商城</a></div> <div id="nav"> <a href="http://www.qudong.com/" class="a01">首页</a><span class="span01"> <a href="../../../../../../../../../../../notebook/">笔记本</a> <a href="../../../../../../../../../../../digital/">数码</a> <a href="../../../../../../../../../../../hardware/">硬件</a> <a href="../../../../../../../../../../../hardware/monitor">显示器</a> <a href="../../../../../../../../../../../internet/">互联网</a> <a href="../../../../../../../../../../../mobile/">手机</a> <a href="../../../../../../../../../../../dc/">数码相机</a> <a href="../../../../../../../../../../../dv/">摄像机</a> <a href="../../../../../../../../../../../mp3_mp4/">MP3/MP4</a> <a href="../../../../../../../../../../../gps/">GPS</a> <a href="http://drivers.qudong.com/"><font color=red>驱动</font></a> <a href="http://soft.qudong.com/">软件</a> <a href="../../../../../../../../../../../soft/college/">学院</a> </span> </div> <div class="clear"></div>  <div id="searchbar"> <div class="search_b"></div> <div class="d_input01"> <form action="/plus/search.php" name="formsearch"> <input type="hidden" name="kwtype" value="1"> <input name="keyword" id="keyword" type="text" class="input01" value="请输入关键字" /> <input type="image" class="input02" value=" " src="/templets/images/5.gif" /> </form> </div> <div class="d_input02"><table width='100%' border='0' cellspacing='0' cellpadding='0'> <tr> <td width='50%'> </td> <td width='50%'> </td> </tr> </table></div> <div class="clear"></div> </div> </div>  <div class="topads cbody">  <div class="top_ad"> <script src="../../../../../../../../../../../../../../../ad/index_02.js"></script> <div class="clear"></div> </div>  </div> <div class="floatclear"></div>  <div class="main cbody margintop">  <div class="pleft">  <div class="thisplace"> <div class="placenav"> <span>  当前位置 :</span>| <a href='http://www.qudong.com/'>首页</a>><a href='/https/download.csdn.net/soft/'>软件</a>><a href='/https/download.csdn.net/soft/safe/'>电脑安全</a>><a href='/https/download.csdn.net/soft/safe/hacker/'>黑客技术</a>> </div> </div>  <div class="newsview">  <div class="title"> <h1>SQL注入天书 ASP注入漏洞全接触 </h1> </div>  <div class="info"> <strong>来源：</strong>eNet硅谷动力 <strong>编辑：</strong>xuqingzhong <strong>时间：</strong>2008-05-30 <font color="#FFFFFF"><script src="/plus/count.php?aid=14666&mid=&view=yes" language="javascript"></script></font> </div>  <div class="ads"> <script type="text/javascript" src="../../../../../../../../../../ad/news_top.js"></script> </div>  <div class="content"> <p> </p> <p> </p> <p>　　随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于这个行业的入门门槛不高，程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。 <br /><br />　　SQL注入是从正常的WWW端口访问，而且表面看起来跟一般的Web页面访问没什么区别，所以目前市面的防火墙都不会对SQL注入发出警报，如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不会发觉。 <br /><br />　　但是，SQL注入的手法相当灵活，在注入的时候会碰到很多意外的情况。能不能根据具体情况进行分析，构造巧妙的SQL语句，从而成功获取想要的数据，是高手与“菜鸟”的根本区别。 <br /><br />　　根据国情，国内的网站用ASP+Access或SQLServer的占70%以上，PHP+MySQ占L20%，其他的不足10%。在本文，我们从分入门、进阶至高级讲解一下ASP注入的方法及技巧，PHP注入的文章由NB联盟的另一位朋友zwell撰写，希望对安全工作者和程序员都有用处。了解ASP注入的朋友也请不要跳过入门篇，因为部分人对注入的基本判断方法还存在误区。大家准备好了吗？Let''s Go... <br /><br />　　<strong>入门篇</strong> <br /><br />　　如果你以前没试过SQL注入的话，那么第一步先把IE菜单=>工具=>Internet选项=>高级=>显示友好 HTTP 错误信息前面的勾去掉。否则，不论服务器返回什么错误，IE都只显示为HTTP 500服务器错误，不能获得更多的提示信息。 <br /><br />　　第一节、SQL注入原理 <br /><br />　　以下我们从一个网站www.19cn.com开始（注：本文发表前已征得该站站长同意，大部分都是真实数据）。 <br /><br />　　在网站首页上，有名为“IE不能打开新窗口的多种解决方法”的链接，地址为：http://www.19cn.com/showdetail.asp?id=49，我们在这个地址后面加上单引号''，服务器会返回下面的错误提示： <br /><br />　　Microsoft JET Database Engine 错误 ''80040e14'' <br /><br />　　字符串的语法错误在查询表达式 ''ID=49'''' 中。 <br /><br />　　/showdetail.asp，行8 <br /><br />　　从这个错误提示我们能看出下面几点： <br /><br />　　1.网站使用的是Access数据库，通过JET引擎连接数据库，而不是通过ODBC。 <br /><br />　　2.程序没有判断客户端提交的数据是否符合程序要求。 <br /><br />　　3.该SQL语句所查询的表中有一名为ID的字段。 <br /><br />　　从上面的例子我们可以知道，SQL注入的原理，就是从客户端提交特殊的代码，从而收集程序及服务器的信息，从而获取你想到得到的资料。 <br /><br />　　第二节、判断能否进行SQL注入 <br /><br />　　看完第一节，有一些人会觉得：我也是经常这样测试能否注入的，这不是很简单吗？ <br /><br />　　其实，这并不是最好的方法，为

评论收藏

内容反馈